当前位置：文档之家 › 特洛伊木马攻击技术与防范策略

特洛伊木马攻击技术与防范策略

  • 格式：pdf
  • 大小：164.19 KB
  • 文档页数：3

计算机安全技术COMPUTINGSECURITYTECHNIQUES………………………………………………………………………………………………………………………………

特洛伊木马攻击技术与防范策略

敬晓芳

（中国工程物理研究院化工材料研究所，绵阳629100）

摘要：特洛伊木马是一种程序，它驻留在目标计算机里，随计算机自动启动并在某一端口进行侦听，对接收的数

据识别后，对目标计算机执行特定的操作。其隐蔽性强，种类数量繁多，危害性很大。本文介绍了木马的攻击原理、常用攻击技术以及防范策略。关键词：特洛伊木马；驻留；攻击技术；防范策略

1引言

特洛伊木马（TrojanHorse），简称木马，是一种程序，这种程序被包含在合法的或表面上无害的程序上的恶意程序。其实质只是一个通过端口进行通信的网络客户/服务程序。木马具有很强的隐蔽性，而且能够自启动，并进行自我保护。木马属于“外来代码”的范畴，它表面上提供一些令人感兴趣的有用的功能，但除了用户能看到的功能以外，这种程序还通过内嵌的特殊代码执行一些用户所不知道的恶意的功能。木马的制造者常常是将一些特殊的代码添加到正常的应用程序代码中来实现这些隐藏的特殊的功能。对攻击者而言，使用外来代码的关键优势之一就是，通过将非本地代码或二进制代码引入操作系统环境，从而断绝与系统或网络管理员所控制资源的依赖性。相比较而言，添加或修改系统帐户，或直接操纵其他系统资源，可能被警惕性高的管理员发现，而安装一个“外来代码”则可以在一段时间内不被发现，尤其是通过对操作系统做广泛的修改可使其隐蔽性更好。随着计算机技术的发展，木马的功能越来越强大，隐蔽性和破坏性不断提高，其数量也在急剧增加。2木马的原理和种类

自木马程序诞生至今，己经出现了多种类型，常见的有玩笑型、破坏型、密码发送型、远程访问型、键盘记录型、代理木马、反弹端口型木马等。大多数的木马都不是单一功能的木马，它们往往是很多种功能的集成品，因此，此处也只能给出一个大致的分类。（1）玩笑型玩笑木马程序不造成损坏，但会从计算机的扬声器中发出惹人讨厌的声音，让计算机屏幕看起来七扭八歪，或在屏幕上显示吓人的信息，如“现在正在格式化硬盘！”虽然这类木马程序非常气人，让人厌烦，但它们是无害的，很容易删除。（2）破坏型破坏型木马的惟一的功能就是破坏并且删除文件，可以自动删除电脑上的DLL、INI、EXE文件。从这一点上来说，它和病毒很相像。不过，一般来说，这种木马的激活是由攻击者控制的，并且传播能力也比病毒逊色很多。并且，木马通常不像病毒那样进行自我复制，也并不刻意地去感染其他文件。这是木马与病毒最本质的区别。（3）密码发送型密码发送型木马可以找到隐藏密码并把它们发送到指定的信箱。一些人喜欢把自己的各种密码以文件的形式存放在计算机中，认为这样方便；还有一些人喜欢用Windws提供的密码记忆功能，这样就可以不必每次都输入密码了。许多黑客软件可以寻找到这些文件，把它们送到黑客手中。这些木马利用WindowsAPI函数EnumWindows和EnumChildWin－dows对当前运行的所有程序的所有窗口（包括控件）进行遍历，通过窗口标题查找密码输入框，通过按钮标题查找应该单击的按钮，然后通过ES_PASSWORD查找需要输入的密码窗口。之后通过向密码输入窗口发送WM_SETTEXT消息模式模拟输入密码，向按钮窗口发送?WM_COMMAND消息模拟单击，从而实现密码破解。也有些黑客软件长期潜伏，记录操作者的键盘操作，从中寻找有用的密码。这类木马一旦被执行，就会自动搜索内存、Cache、临时文件夹以及各种敏感密码文件，一旦搜索到有用的密码，木马就会利用免费的电子邮件服务将密码发送到指定的邮箱。从而达到获取密码的目的，所以这类木马大多使用25号端口发送E-mail。大多数这类的特洛伊木马不会在每次Windows重启时重启。（4）远程访问型这种木马最广泛，只需有人运行了服务端程序，如果客AttackTechnologyandDefendingPoliciesofTrojanHorse

JINGXiaofang

(ChemicalIndustryMaterialInstituteChinaAcademyofEngineeringPhysics(CAEP),Mianyang629100)

【Abstract】TrojanHorseisakindofprogram,itself-startandresidentsintargetcomputer,andinterceptsonspecialport,thenitexecutesspecialoperation.Ithasgreatdamagesuchasconcealment、varioustype.ThisarticlediscussestheworkprinciplesandattacktechnologyanddefendingpoliciesonTrojanHorse。【Keywords】TrojanHorse；Resident；attacktechnology;defendingpolicies

本文收稿日期：2008年7月28日

119--计算机安全技术COMPUTINGSECURITYTECHNIQUES………………………………………………………………………………………………………………………………

户知道了服务端的IP地址，就可以实现远程控制。比如，冰

河就是一个远程访问型特洛伊木马。这类木马用起来是非常

简单，只需有人运行服务端并且得到了目标机的IP，就会访

问到目标机。利用远程访问型木马可以在目标机上干任何事。

远程访问型木马的普遍特征是：键盘记录、上传和下载功能、

注册表操作、限制系统功能……等。远程访问型特洛伊木马

会在电脑上打开一个端口以保持连接。

（5）键盘记录木马

这种木马非常简单，它们只做一件事情，就是记录受害

者的键盘敲击并且在LOG文件里查找密码。这种特洛伊木马

随着Windows的启动而启动。它们有在线和离线记录这样的

选项，顾名思义，分别记录在线和离线状态下敲击键盘时的

按键情况，从这些按键中他很容易就会得到密码等有用信息。

对于这种类型的木马，邮件发送功能也是必不可少的。

（6）DOS攻击木马

随着DOS攻击越来越广泛的应用，被用作DOS攻击的木

马也越来越流行起来。当黑客入侵了一台机器并在该机器上

种上DOS攻击木马，那么日后这台计算机就成为黑客DOS攻

击的最得力助手了。这种木马的危害不是体现在被感染计算

机上，而是体现在攻击者可以利用它来攻击一台又一台计算

机，给网络造成很大的伤害和带来损失。

还有一种类似DoS的木马叫做邮件炸弹木马，一旦机器

被感染，木马就会随机生成各种各样主题的信件，对特定的

邮箱不停地发送邮件，一直到对方瘫痪、不能接受邮件为止。

（7）代理木马

黑客在入侵的同时掩盖自己的足迹，谨防别人发现自己

的身份是非常重要的，因此，给被控制的机器种上代理木马，

让其变成攻击者发动攻击的跳板就是代理木马最重要的任务。

通过代理木马，攻击者可以在匿名的情况下使用Telnet、ICQ、

IRC等程序，从而隐蔽自己的踪迹。（8）FTP木马

这种木马可能是最简单和古老的木马了，它的惟一功能

就是打开21端口，等待用户连接。现在新FTP木马还加上了

密码功能，这样，只有攻击者本人才知道正确的密码，从而

进入对方计算机。

（9）程序杀手木马

上面的木马功能虽然形形色色，不过到了对方机器上要

发挥自己的作用，还要过防木马软件这一关才行。常见的防

木马软件有ZoneAlarm、NortonAnti-Virus等。程序杀手木马

的功能就是关闭对方机器上运行的这类程序，让其他的木马

更好地发挥作用。

（10）反弹端口型木马

木马开发者在分析了防火墙的特性后发现：防火墙对于

连入的链接往往会进行非常严格的过滤，但是对于连出的链

接却疏于防范。于是，与一般的木马相反，反弹端口型木马

的服务端（被控制端）使用主动端口，客户端（控制端）使

用被动端口。木马定时监测控制端的存在，发现控制端上线立即弹出端口主动连结控制端打开的主动端口；为了隐蔽起

见，控制端的被动端口一般开在80，即使用户使用扫描软件

检查自己的端口，发现类似TCPUserIP：1026ControllerIP:

80ESTABLISHED的情况，稍微疏忽一点，用户就会以为是自己在浏览网页。

3木马的植入方法

攻击者想通过木马攻击用户系统，必须首先将木马程序

植入到用户的计算机里。一般的木马程序都分为客户端和服

务器端两个部分，其中客户端用户攻击者远程控制植入木马

的计算机，服务器端程序即为木马程序。

目前木马入侵的主要途径还是先通过一定的方法把木马

执行文件放到被攻击者的计算机中，常见的方法有邮件附件、

下载软件等，即将非常小（一般都是几KB到几十KB）的木

马捆绑到邮件附件或下载的软件上。由于木马程序非常小，

因此很难被发现。当用户打开邮件附件或执行所下载软件的

时候，也就同时运行了木马，而且，木马程序都是悄悄地在

后台运行的，用户丝毫觉察不到。

此外，木马也常通过Script、ActiveX和ASP.CGI交互脚

本的方式植入。由于微软公司的浏览器在执行Script脚本时存

在一些漏洞，使得木马攻击者有机可乘。

4典型木马技术及防范措施

4.1自加载技术所谓自加载就是程序自运行。自加载的方法很多，比较

常见的有将需要运行的程序加载到启动里面，或把程序的启

动路径写到注册表的HKEY_LOCAL_MACHINE\SOFT－

WARE\Microsoft\CurrentVersions\Run项中，修改boot.ini（如

System.ini和Win.ini）文件，修改explorer.exe启动参数，或者修改注册表的键值直接启动。

如修改System.ini（位置C:\windows\文件的方法如下：

[boot]项原始值配置：“shell=explorer.exe”，explorer.

exe是Windows的核心文件之一，每次系统启动时，都会自动加载。

[boot]项修改后配置：“shell=explorerC:\windows\Trojan.

exe”（Trojan.exe即为某一木马程序)。又如修改Win.ini（位置C:\windows\）

[windows]项原始值配置：“load=”；“run=”，一般情况

下，等号后无启动加载项。

[windows]项修改后配置：“load=”和“run=”后加入木马的程序名。

这种木马的解决办法为：执行“运行→msconfig”命令，

将System.ini文件和Win.ini文件中被修改的值改回原值，并

将原木马程序删除。若不能进入系统，则在进入系统前按

“Shift+F5”进入CommandPromptOnly方式，分别键入命令

editsystem.ini和editwin.ini进行修改。

相对来说，修改注册表的方式要比上面的修改启动和

boot.ini文件要隐蔽得多。比如，对于注册表中的项：HKEY

LOCALMACHINE\Software\classes\exefile\shell\open\command\，120--

合集下载

浅析缓冲区溢出攻击技术以及防范策略

浅析缓冲区溢出攻击技术以及防范策略

羹　一　＃中国ｊ　．｝技术企业　

浅析缓冲区溢出攻击技术以及防范策略　

◇文／李大光　

【摘要】　本文首先解释了缓冲区及缓冲区溢出的概念，通过一个会导致缓冲区溢出的程序对缓冲区溢出　攻击的产生进行了实例分析；综述缓冲区溢出攻击防范策略。　【关键词】网络安全缓冲区溢出攻击防范策略　

一缓冲区溢出攻击技术　１．１缓冲区溢出防范技术简介　随着基于Ｉｎｔｅｍｅｔ的网络技术的发展．计算机病毒和网上黑客对　Ｉｎｔｅｍｅｔ的攻击越来越激烈，网络安全问题日益严重。各种网络攻击　技术中，缓冲区溢出对计算机系统造成的危害最大。历史上最著名　的缓冲区溢出攻击可能要算是１９８８年１１月２日的ＭｏｒｒｉｓＷｏｒｍ（莫　尔斯蠕虫）了。它可以使攻击者有机会获得一台主机的部分获全部　的控制权，因此采取有效的检测防范措施是十分必要的。　１．２缓冲区溢出漏洞攻击实例　下面我们就列举一个简单的缓冲区溢出的例子：　ｓｔａｃｋｌ，Ｃ　＃ｉｎｃｌｕｄｅ＜ｓｔｄｉｏ．ｈ＞　ｉｎｔｍａｉｎ（ｉｎｔａｒｇｃ，ｃｈａｒ＊　ａｒｇｖ）（　ｃｈａｒｂｕｆ［１Ｏ］；　ｓｔｒｃｐｙ（ｂｕｆ，ａｒｇｖ【１］）；　ｐｒｉｎｔｆ（”Ｔｈｅｓｔｒｉｎｇｉｓ％ｓｋｎ”，ｂｕｒ）；　ｒｅｔｕｍＯ；　｝　这是一个存在缓冲区溢出漏洞的程序。先构造一个１０ＢＹＴＥＳ的　ＢＵＦＦＥＲ数组，然后把命令行的第一个参数拷贝进缓冲区，由于在使　用ｓ￣ｃｐｙ（）函数时，缺乏对数组边界的检查，当参数ａｒｇｖ［１］长度超过　１０ＢＹＴＫＳ时，就会造成缓冲区溢出，具体操作：　￥＞ｓｔａｃｋｌ、ＡＡＡＡＡＡＡＡＡＡ、　当覆盖１０ＢＹＴＥＳ的“Ａ”时，程序正常退出。　￥＞ｓｔａｃｋ１、ＡＡＡＡＡＡＡＡＡＡＡＡＡＡＡＡＡＡＡＡＡＡＡＡ、　ｎ１ｅｓｔｒｉｎ　ｓＡＡＡＡＡＡＡＡＡＡＡＡＡＡＡＡＡＡＡＡＡＡＡＡ　当覆盖２４ＢＹＴＥＳ的“Ａ”时，程序仍然能够正常退出。　￥＞ｓｔａｃｋｌ、ＡＡＡＡＡＡＡＡＡＡＡＡＡＡＡＡＡＡＡＡＡＡＡＡＡＡＡＡＡＡＡＡＡＡＡ　ＳＥＧＭＥＮＴＦＡＵＩ　当覆盖３２ＢＹＴＥＳ的“Ａ”时，程序出现了段错误提示。　覆盖１０ＢＹＴＥＳ的“Ａ”时，程序正常退出，２４ＢＹＴＥＳ也是如此，直　到３２ＢＹＴＥＳ时，发生ＳＥＧＭＥＮＴＦＡＵＬＴ。下面用ＧＤＢ工具调试程序，　看看产生的原理。　Ｄｕｍｐｏｆａｓｓｅｍｂｌｅｒｃｏｄｅｆｏｒｆｕｎｃｔｉｏｎｍａｉｎ：　０ｘ０８Ｏ４８３５ｃ＜ｍａｉｎ＋００＞：ｐｕｓｈ％ｅｂｐ　０ｘ０８Ｏ４８３５ｄ＜ｍａｉｎ＋Ｏ１＞：ｍｏ￣％ｅｓｐ．％ｅｂｐ　Ｏｘ０８Ｏ４８３５ｆ＜ｍａｉｎ＋０３＞：ｓｕｂＳ０ｘｌ８．％ｅｓｐ　０］【Ｏ８ｏ４８３６２＜ｍａｉｎ＋０６＞：ａｎｄ￥ｏ】【　．％ｅｓｐ　ＯｘＯ８Ｏ４８３６５＜ｍａｉｎ＋０９＞：ｍｏ￣￥ＯｘＯ．％ｔａｘ　０ｘ０８０４８３６ａ＜ｍａｉｎ＋１４＞：ｓｕｂ％ｔａｘ．％ｅｓｐ　Ｏｘ０８Ｏ４８３６ｃ＜ｍａｉｎ＋１６＞：ｓｕｂＳ０ｘ８．％ｅｓｐ　０］【０８ｏ４８３６ｆ＜ｍａｉｎ＋１９＞：ｍｏｖＯｘｃ（％ｅｂｐ１，％ｔａｘ　０］【Ｏ８Ｏ４８３７２＜ｍａｉｎ＋２２＞：ａｄｄ￥Ｏｘ４．％ＣＯＸ　

ARP攻击原理与防范策略

ARP攻击原理与防范策略

・工程技术・　Ｊ　

ＡＲＰ攻击原理与防范策略　

王　伟　（武汉职业技术学院计算机系，湖北武汉４３００７４）　

摘　要：结合近段时期国内许多企业、政府部门和学校的网络出现短时问内掉线的现象，从ＡＲＰ　协议的角度，分析了ＡＲＰ的漏洞、ＡＲＰ攻击原理，并给出了相应的防范措施。　关键词：ＡＲＰ；ＭＡＣ；漏洞；防范策略　

一、引言　中图分类号：ＴＰ３９３．０８　文献标识码：Ａ　文章编号：１６７１—９３１Ｘ（２００７）０５—００８５—０２　

近段时期，国内许多企业、政府部门和学校的网络　出现短时间内掉线的现象，但会在很短的时问内自动　恢复，这是因为ＭＡＣ地址冲突引起的。当带毒机器的　ＭＡＣ映射到主机或者路由器之类的ＮＡＴ设备，会全网　掉线；如果只映射到网内其他机器，则只有这部分机器　出问题，此类情况就是网络受到了ＡＲＰ病毒攻击的明　显表现。该病毒破解加密解密算法，通过截取局域网中　的数据包，然后采用分析游戏通讯协议的方法截获用　户的信息。运行这个病毒，就可以获得整个局域网中用　户的详细信息，盗取用户账号信息。下面谈谈ＡＲＰ攻　击原理及如何防范这种攻击。　二，ＡＲＰ协议　在局域网中，我们习惯用ＩＰ地址来标识计算机，　但在网络数据传输过程中，真正起到地址作用的是　“ＭＡＣ地址”。ＭＡＣ（Ｍｅｄｉａ　Ａｃｃｅｓｓ　Ｃｏｎｔｒｏｌ介质访问控　制）地址又称物理地址，它通常由是网卡生产厂商在网　卡出厂前烧录到网卡的ＥＰＲＯＭ（可擦除可编程只读存　储器）中，对于每块网卡是唯一的，即每台主机的物理　地址是唯一的。　一台主机要和另一台主机直接通信，必须知道目　标主机的ＭＡＣ地址。ＡＲＰ协议（Ａｄｄｒｅｓｓ　Ｒｅｓｏｌｕｔｉｏｎ　Ｐｒｏｔｏｃｏｌ，地址解析协议）的基本功能就是通过目标主机　的ＩＰ地址来查询其ＭＡＣ地址，以保证通信的顺利进　行。　每台安装有ＴＣＰ３Ｐ协议的主机都有一个ＡＲＰ缓　存表，表里的ＩＰ地址与ＭＡＣ地址是一一对应的，可以　通过在ＤＯＳ命令提示符下输入ａｒｐ—ａ来获得本机的　ＡＲＰ缓存表。如表１所示。　表１　ＡＲＰ缓存表　

防范黑客攻击策略分析

防范黑客攻击策略分析

防范黑客攻击策略分析

本文通过电信IP网的特性，分析了黑客攻击对电信IP网的安全威胁，介绍了黑客攻击电信IP网的手段及防范措施，最后讨论了电信IP网如何建立防范黑客攻击的安全防范策略。

1 引言

电信网从原来电话交换为主的话音业务正全面向语音、数据、多媒体等综合业务的平台转变。IP技术成为下一代电信网络的关键技术，传统电信网由于其自身的封闭性，安全问题并不是很突出，但是以IP为基础协议的下一代网络已经开始必须面对以往只是在IP网上才会出现的网络安全问题。在威胁我国电信IP网的众多因素中，黑客攻击是其中最为重要的一种，在我国电信IP网中曾出现过遭黑客攻击的案例，如近日某企业员工通过参与某移动公司项目得到了系统的密码，继而侵入移动公司充值中心数据库，盗取充值卡密码，给移动公司带来了370余万元的损失。

近年来，黑客对电信网络的攻击给社会带来了极大的损害，随着黑客攻击技术的不断发展，网络和系统漏洞的不断出现，黑客群体的变化，社会对网络的依赖性提高，未来黑客攻击手段越来越隐蔽，破坏力将越来越大，攻击行为也将变得越来越复杂和难于防范。2006年世界电信日的主题是：让世界网络更安全。我国信息产业部也根据这个主题开展了一系列的主题活动，从而可以看出网络安全已经成为电信发展中的一个重要问题。本文就黑客攻击的手段和防范的策略给出简单的分析。

2 黑客攻击对电信IP网的安全威胁分析

在《中华人民共和国电信条例》中，对电信网络安全方面，针对现实中危害较大的计算机病毒、黑客等情况，做了禁止性的规定。其中在第五十八条规定了任何组织或者个人不得有四类危害电信网络安全和信息安全的行为，其中第三类中就是故意制作、复制、传播计算机病毒或者以其他方式攻击他人电信网络等电信设施。这个其他行为目前主要是指黑客攻击。黑客通过遍及全球的IP网侵入通信系统，截取通信安全方面的信息资料，他们篡改信息、替换网页、下载或盗取敏感信息、攻击主机和网络、发送邮件炸弹或使网络瘫痪。黑客攻击一旦得逞，小则瘫痪网络的某项服务，大则造成短时间内无法恢复的整个网络的瘫痪，造成巨大的损失。黑客之所以能够对电信IP网造成威胁，主要有以下几点原因：

防范ICMP攻击的策略

防范ICMP攻击的策略

＜桐陵　虎　颓）２ｏｏ７年第２期　工程科技　

防范ＩＣＭＰ攻击的策略　

宋平平胡博　

（芜湖职业技术学院，安徽芜湖　２４ｌ０ｏ１）　

摘要：ＩＣＭＰ协议对网络安全具有重要的意义，基于ＤｏＳ的ＩＣＭＰ攻击，会造成大面积网络断网。本文通过建立实验环境，运　

用ｓｎｉｆｅｒ。构造数据包对ＩＣＭＰ攻击进行模拟、协议分析，以发现对攻击的实时监测、及时解决的策略。　

关键词：ＩＣＭＰ；攻击；ＤｏＳ；ＭＡＣ；ｓｎｉｆｅｒ　中图分类号：ＴＰ３１１　文献标识码：Ａ　文章编号：１６７２－０５４７（２００７）０２－００６４－０２　

１．ＩＣＭＰ　ＩＣＭＰ（Ｉｎｔｅｒｎｅｔ　Ｃｏｎｔｒｏｌ　Ｍｅｓｓａｇｅ　Ｐｒｏｔｏｃｏｌ。Ｉｎｔｅｒｎｅｔ控制　消息协议）协议用来给ＩＰ协议提供控制服务，允许路由器　

或目标主机给数据的发送方提供反馈信息。需要发送反馈信　息的情况包括：数据包不能被发送到目标主机，路由器缓冲　

区溢出导致数据包被删除。路由器想要把流量重定向到另外　

一个更短的路由上等。ＩＣＭＰ协议是ＩＰ协议的一部分，任何　

实现了ＩＰ协议的设备同时也被要求实现ＩＣＭＰ协议。　

ＩＣＭＰ协议的格式：ＩＣＭＰ协议头位于ＩＰ数据包头之　

后。使用类型和代码来区分不同的控制消息。ＩＣＭＰ代码用　

来区分不同的ＩＣＭＰ子类型。ＩＣＭＰ数据位于ＩＣＭＰ协议头　

之后。不同的ＩＣＭＰ类型对应的数据的长度也不相同。通常　

ＩＣＭＰ数据包含原始数据包的信息、被报告的错误或者用来　

测试的数据。　

２．ＩＣＭＰ攻击　

ＩＣＭＰ协议对于网络安全具有极其重要的意义．ＩＣＭＰ　协议本身的特点决定了它非常容易被用于攻击网络上的路　

由器和主机。基于ＩＣＭＰ的攻击可以分为四类：一是针对带　

宽的ＤｏＳ攻击：通过高速发送大量的ＩＣＭＰ　Ｅｃｈｏ　Ｒｅｐｌｙ数　

据包。利用无用的数据来耗尽网络带宽，又分为直接Ｆｌｏｏｄ　

攻击（用本机ＩＰ高速发ＥＣＨＯ报文）、伪造ＩＰ的Ｆ１ｏ０ｄ攻　击、反射ｓｍｕｒｆ攻击（多台主机返回ＥＣＨＯ应答，导致阻塞　受害机网络）等；二是针对主机的ＤｏＳ攻击：攻击操作系统